GitHub 报告的依赖项检测结果可能不同于其他工具返回的结果。 这是有原因的，它有助于了解 GitHub 如何确定项目的依赖项。
依赖项图是否只查找清单和锁文件中的依赖项？
依赖项关系图自动包含在环境中明确声明的依赖项的信息。 也就是说，在清单或锁定文件中指定的依赖项。 依赖项图通常还包括过渡依赖项，即使它们没有在锁定文件中指定，也可以通过查看清单文件中的依赖项来实现。
依赖项关系图不自动包含“松散”依赖项。 “宽松”依赖项是指从另一个来源复制并直接或在存档文件（例如 ZIP 或 JAR 文件）中检入仓库的单个文件，而不是在包管理器的清单或锁定文件中引用的文件。
但是，可以使用 依赖项提交 API 将依赖项添加到项目的依赖项关系图中，即使依赖项未在清单或锁定文件中声明，例如在生成项目时解析的依赖项。 使用 依赖项提交 API 提交到项目的依赖项将显示用于提交的检测器以及提交时间。 有关 依赖项提交 API 的详细信息，请参阅“使用依赖项提交 API”。
检查：是否在存储库清单或锁定文件中未指定组件的依赖项？
依赖项图是否检测使用变量指定的依赖项？
依赖项图在清单被推送到 GitHub 时分析它们。 因此，依赖项图无法访问项目的构建环境，从而无法解析清单中使用的变量。 如果在清单中使用变量指定名称，或指定依赖项的版本（更常见），则该依赖项不会自动包含在依赖项关系图中。
但是，可以使用 依赖项提交 API 将依赖项添加到项目的依赖项关系图中，即使仅当生成项目时才解析依赖项。 有关 依赖项提交 API 的详细信息，请参阅“使用依赖项提交 API”。
检查：在清单中缺少的依赖项是否使用变量声明其名称或版本？
是否存在影响依赖项图数据的限制？
是的，依赖项关系图有一类限制：
-
处理限制
这会影响 GitHub 中显示的依赖项图，还会阻止 Dependabot alerts 的创建。
仅为企业帐户处理大小超过 0.5 MB 的清单。 对于其他帐户，将忽略超过 0.5 MB 的清单，并且不会创建 Dependabot alerts。
默认情况下，对于每个存储库，GitHub 处理的清单数量不会超过 150 个。 不会为超出此限制的清单创建 Dependabot alerts，并且如果超出此限制，Dependabot alerts 的行为可能不可预见。
如果清单文件存储在其名称通常用于所提供的依赖项的目录中，则不会处理这些文件。 名称与以下正则表达式匹配的目录被视为提供的依赖项目录：
(3rd|[Tt]hird)[-_]?[Pp]arty/(^|/)vendors?/(^|/)[Ee]xtern(als?)?/(^|/)[Vv]+endor/
示例：
- third-party/dependencies/dependency1
- vendors/dependency1
- /externals/vendor1/dependency1